一、基本信息

二、漏洞详情

2.1 产品概述

        青龙面板（QingLong Panel）是一款开源的定时任务管理面板，主打自动化脚本管理、定时任务执行、多账号同步等核心功能，广泛应用于个人开发者、中小企业的自动化运维场景，支持 Docker 容器化部署和本地部署两种形式。该面板通常配置有管理员/ 普通用户权限体系，用于管控任务创建、脚本修改、数据查看等操作，其部署环境常存储各类脚本配置、账号信息等敏感数据。

2.2 漏洞描述

        青龙定时任务管理面板存在权限绕过漏洞。攻击者可通过路径大小写变体（如/API/替代/api/）绕过认证访问受保护接口，通过访问 /open/user/init 路径，攻击者可以绕过权限校验机制，后端会将请求重写到 /api/user/init，允许攻击者通过该接口重置管理员密码并获得合法的登录 Token。由于此接口未做有效权限验证，攻击者可通过构造请求直接初始化用户密码，进而登录系统，获得管理员权限，进而执行任意恶意操作，如篡改定时任务、窃取敏感信息、删除系统数据等。该漏洞极大地威胁了系统的安全性，可能导致全面控制系统。

三、资产描述

FOFA  资产自检语法：app="青龙-定时任务管理面板"

资产概况：

        根据FOFA测绘数据来看，近一年漏洞影响全球资产受主要数量28,809条，漏洞主要影响中国、美国和韩国的资产。

        其中，我国占有较大的资产占比，影响我国25604条相关资产，中国大陆有24291条资产，中国香港有599条资产，中国台湾省52条资产，中国澳门有5条资产。在中国大陆的浙江省是使用该产品的企业最多的省份。

        国内影响范围情况（注：不含港、澳、台数据）：

四、修复方案

版本更新：立即升级至青龙面板官方最新修复版本

下载地址：https://github.com/whyour/qinglong/releases

五、我司产品支持情况

        FOEYE：支持该漏洞关联内网资产风险应急响应，直接发现受此漏洞影响的内网资产清单，一键进行专项漏洞风险排查。

        FORadar：支持一键关联用户存量资产库，自动匹配受该漏洞影响的互联网暴露风险资产，对风险资产发起专项扫描任务。

        Goby：支持针对目标资产进行该漏洞的主动漏洞扫描探测及实战化漏洞验证。

Step1:权限绕过

Step2:通过后台接口命令执行